BYOD, czyli „bring your own device” — model, w którym pracownicy korzystają z prywatnych telefonów i laptopów do pracy — bywa wygodny i tańszy dla firmy na pierwszy rzut oka. Krzysztof Młynarski z Security.pl, analizując ten model na konferencji GigaCon poświęconej bezpieczeństwu sieci, pokazywał, że ta wygoda ma cenę, którą wiele organizacji dostrzega dopiero po fakcie — w postaci utraconej kontroli nad tym, gdzie faktycznie trafiają firmowe dane.
Prywatny telefon pracownika, na którym zainstalowana jest firmowa poczta, to urządzenie, nad którym dział IT ma dużo mniejszą kontrolę niż nad sprzętem firmowym. Nie wiadomo, jakie inne aplikacje są na nim zainstalowane, czy system operacyjny jest aktualny, czy urządzenie nie zostało wcześniej skompromitowane przez złośliwe oprogramowanie pobrane spoza oficjalnego sklepu z aplikacjami.
Nie chodzi o zakaz, tylko o świadome zarządzanie
Młynarski nie postulował całkowitej rezygnacji z BYOD — w wielu organizacjach, szczególnie mniejszych, byłoby to nierealne kosztowo. Zamiast tego proponował świadome zarządzanie ryzykiem: rozdzielenie danych firmowych od prywatnych na poziomie aplikacji (tzw. konteneryzacja), wymuszenie podstawowych zabezpieczeń (blokada ekranu, szyfrowanie) jako warunku dostępu do zasobów firmowych, oraz jasną politykę określającą, co dzieje się z danymi firmowymi na urządzeniu, gdy pracownik odchodzi z firmy.
W kontekście NIS2 ten temat nabiera dodatkowego znaczenia — regulacja wymaga udokumentowanego zarządzania ryzykiem związanym z dostępem do systemów firmowych, a polityka BYOD, jeśli w ogóle istnieje, musi być czymś więcej niż nieformalną praktyką akceptowaną milcząco przez dział IT.
Praktyczny kompromis
Najbardziej realistyczne podejście, jakie sprawdza się w praktyce, to segmentacja dostępu — nie każdy pracownik potrzebuje dostępu do wszystkich systemów firmowych z prywatnego urządzenia. Ograniczenie dostępu mobilnego do rzeczywiście niezbędnych zasobów (np. tylko poczta i kalendarz, bez dostępu do systemów finansowych) znacząco redukuje ryzyko bez konieczności rezygnacji z wygody, jaką daje model BYOD.
Jeśli zarządzacie polityką bezpieczeństwa urządzeń mobilnych w swojej organizacji, warto zobaczyć więcej praktycznych podejść do tego problemu. Zapisz się na najbliższą konferencję bezpieczeństwa organizowaną przez GigaCon.